I thought you were my friend!

上記のような名前の、Mario Heiderich 氏によるスライドがあります。CONFidence2009 OWASP2009 in Krakow における講演に使ったスライドのようです。このスライドの47ページから50ページにかけて「The same domain inclusion problem」というテーマで「multivector」なるものの紹介をしています。valid なGIFファイルであるけれども、マルチな仕込をしてあるというものです。same domain というところにご留意を。一種のアップロード系なのかしら？
このGIF内のベクタが活性化されるケースのひとつとして50ページに以下のようなコードが記述されています。

<img src="../.x"> ← image as is and XSS in IE

不可解千万です。先日、大垣さんの著書について触れましたが、あの事例とは少々仕組みが違うようです。共通点は、img要素のsrc属性にしかけのある画像を指定するというところでしょう。
こんなベクタがまかり通るようですと、かなり困りますよね。はてななんかも使えないことに。（想像）